ISO 22301:2019 Sistema di gestione della continuità operativa
Quando qualcosa va storto — un guasto, un incendio, un attacco informatico, un fornitore che si ferma — sapete cosa è critico, quanto tempo avete e chi fa cosa.
- business impact analysis
- BIA
- tempo di ripristino
- RTO
- punti obbligatori (4–10)
- 7
- validità del certificato
- 3 anni
La terza edizione è in sviluppo
L'edizione in vigore è la ISO 22301:2019 con l'Emendamento 1:2024. La terza edizione è in una fase iniziale di sviluppo nel 2026, quindi certificarsi sulla versione attuale è pienamente aggiornato.
Cos'è la ISO 22301
La ISO 22301 definisce i requisiti di un sistema di gestione della continuità operativa. Garantisce che le attività critiche possano proseguire o essere ripristinate entro tempi accettabili dopo un’interruzione.
Al centro c’è la business impact analysis (BIA): quali attività sono critiche, per quanto possono fermarsi e di quali risorse hanno bisogno.
La norma è strettamente legata ai requisiti di resilienza di NIS2 e DORA e alla ISO/IEC 27001 — controllo 5.30 “Preparazione ICT per la continuità operativa”.
Quanto costa un’ora di fermo?
La ISO 22301 è per ogni organizzazione per cui fermarsi costa caro — economicamente, contrattualmente o in reputazione. Calcolate almeno i ricavi persi.
- IT, hosting e SaaS
- Banche, assicurazioni e istituti di pagamento (DORA)
- Soggetti NIS2
- Logistica e corrieri
- Produzione just-in-time
- Sanità e laboratori
- Fornitori della pubblica amministrazione
- Call center e outsourcing
Mercoledì, 08:30 — niente corrente, niente internet
Un guasto toglie corrente e connessione alla sede di un’azienda di logistica. Ecco com’è la giornata quando il piano di continuità è pronto.
Interruzione
L’ufficio è senza corrente né internet. Gli ordini si fermano.
- Allerta al team di crisi
- Valutazione dell’impatto
- Decisione di attivare il piano
Attivazione
Il team di crisi si riunisce online in 15 minuti.
- Ruoli dal piano
- Messaggio ai clienti
- Contatto con i fornitori
Strategia
I team passano al lavoro da remoto e alla connessione di riserva.
- Sistemi in cloud
- Internet 4G di riserva
- Priorità dall’analisi d’impatto
Ripristino
Le attività critiche sono ripristinate entro i loro RTO.
- Ordini — in 3 ore
- Magazzino — in 6 ore
- Fatturazione — in 20 ore
Lezioni
Il riesame post-incidente migliora il piano.
- Rapporto post-incidente
- Piano e contatti aggiornati
- Nuova esercitazione tra 6 mesi
Un sistema — più requisiti
La continuità è ormai un obbligo di legge e di contratto. La ISO 22301 è il modo riconosciuto per coprirla e dimostrarla.
NIS2 Continuità operativa, backup, ripristino e gestione delle crisi Analisi d’impatto, strategie, piani ed esercitazioni DORA Politica di continuità ICT e test dei piani Piani documentati e programma di esercitazioni ISO 27001 Controlli 5.29 e 5.30 — sicurezza durante le interruzioni e prontezza ICT Un sistema completo invece di controlli isolati GDPR Disponibilità e ripristino dei dati personali (art. 32) Tempi di ripristino e perdita di dati accettabile Clienti SLA contrattuali e questionari fornitori Un certificato al posto di lunghi questionari Assicuratori Misure dimostrate per polizze cyber e danni Verbali di esercitazioni e test Un piano che funziona alle 8:30 del mattino
Non un manuale spesso, ma piani brevi e chiari che le persone conoscono perché li hanno provati.
Consulenza gratuita- Analisi d’impatto sul business (BIA)
- Obiettivi di ripristino (RTO e RPO) per attività
- Valutazione del rischio di interruzione
- Strategie per persone, sedi, IT e fornitori
- Piano di gestione di incidenti e crisi
- Piani di ripristino per attività
- Esercitazione con verbale e raccomandazioni
- Audit interno e riesame della direzione
Resilienza e sicurezza — insieme
La ISO 22301 condivide la struttura con la ISO 27001 ed è la base naturale per i requisiti di resilienza.
La struttura della norma
I punti 4–10 sono obbligatori. Il cuore pratico è il punto 8 — dall’analisi alle esercitazioni.
Punto 4 — Contesto dell'organizzazione
Prodotti e servizi, parti interessate, requisiti legali, campo di applicazione del sistema.
Punto 5 — Leadership
Impegno della direzione, politica di continuità, ruoli e responsabilità.
Punto 6 — Pianificazione
Rischi e opportunità, obiettivi di continuità, pianificazione delle modifiche.
Punto 7 — Supporto
Risorse, competenza, consapevolezza, comunicazione, informazioni documentate.
Punto 8 — Attività operative
BIA e valutazione dei rischi, strategie e soluzioni, piani di continuità, programma di esercitazioni.
Punto 9 — Valutazione delle prestazioni
Monitoraggio, valutazione di documentazione e capacità, audit interno, riesame.
Punto 10 — Miglioramento
Non conformità, azioni correttive, miglioramento continuo.
Gli elementi chiave del punto 8
Il cuore pratico della norma — dall'analisi d'impatto alle esercitazioni provate.
- 01
Business impact analysis (BIA)
Quali attività sono critiche e quanto costa ogni ora di interruzione.
- 02
Obiettivi di ripristino
Interruzione massima tollerabile, tempo di ripristino (RTO) e perdita di dati accettabile.
- 03
Valutazione dei rischi
Quali interruzioni sono probabili e come ridurle.
- 04
Strategie e soluzioni
Sedi di riserva, backup, fornitori alternativi, lavoro da remoto.
- 05
Piani di continuità
Chi fa cosa, e in quale ordine, durante un incidente.
- 06
Esercitazioni e test
I piani vengono provati sul campo prima che servano.
Cosa ottenete
Resilienza in caso di guasto
I servizi critici ripartono entro i tempi concordati.
Una base per NIS2 e DORA
Il quadro riconosciuto per i requisiti di continuità e ripristino.
Fiducia dei clienti
I contratti richiedono sempre più spesso una continuità dimostrata.
Perdite minori
Un’interruzione più breve significa meno ricavi persi.
Ruoli chiari nella crisi
Nessuno improvvisa quando non c’è tempo.
Sinergia con la ISO 27001
Struttura comune e controlli condivisi di preparazione ICT.
Il percorso verso la certificazione
Sei fasi con un risultato chiaro in ognuna.
- 01 1–2 sett.
Campo e contesto
Quali prodotti, servizi e sedi rientrano nel sistema.
- 02 2–4 sett.
BIA e valutazione dei rischi
Attività critiche, obiettivi di ripristino, rischi.
- 03 2–3 sett.
Strategie
Soluzioni per risorse, persone, IT e fornitori.
- 04 2–4 sett.
Piani di continuità
Piani di risposta e ripristino.
- 05 1–2 sett.
Esercitazione e audit interno
Prova dei piani sul campo.
- 06 Fase 1 + 2
Audit di certificazione
Fase 1 e Fase 2 da parte di un organismo accreditato.
Tempi e costi — da cosa dipendono
Il costo dipende soprattutto dal numero di attività critiche e dalla dipendenza dall'IT. Questi sono i fattori — più una stima.
Dipendenti e sedi
Determinano il carico di lavoro e i giorni di audit.
Attività critiche
Quanti prodotti e servizi vanno protetti.
Dipendenza dall'IT
Sistemi, servizi cloud, backup e soluzioni di riserva.
Fornitori
Fornitori critici e i loro piani.
Esercitazioni
La portata di esercitazioni e test.
Costo di certificazione
Si paga a parte all'organismo di certificazione.
01 Che differenza c’è tra un piano di continuità e la ISO 22301?
Il piano di continuità (BCP) è un documento. La ISO 22301 è l'intero sistema attorno a esso — analisi, strategie, esercitazioni, responsabilità e miglioramento.
02 È legata a NIS2 e DORA?
Sì. Entrambe richiedono misure di continuità, backup e ripristino. La ISO 22301 è il quadro riconosciuto per soddisfarle.
03 Si può combinare con la ISO 27001?
Sì — la struttura è comune e i controlli di continuità dell'Annex A della ISO 27001 sono coperti in modo naturale.
04 Ogni quanto fare esercitazioni?
La norma richiede un programma di esercitazioni e test a intervalli pianificati. In pratica — almeno una volta l’anno e dopo modifiche significative.
05 Quanto tempo richiede?
Di solito da 3 a 6 mesi, a seconda del numero di attività critiche. Usate la stima come riferimento.
Questa domanda non è nell’elenco — chiedeteci direttamente e risponderemo.
La prima consulenza è gratuita
Raccontateci della vostra azienda e del vostro obiettivo. Riceverete un piano chiaro e un preventivo entro un giorno lavorativo.